De AI-codeerparadox: 97% adoptie maar 90% vertraging door gebrek aan toezicht

• Handmatige codereview (52%) — reviewers verwerken nu een groter volume AI-gegenereerde code dan menselijk geschreven code, en dat volume groeit
• Beveiligingstesten (51%) — AI-gegenereerde code introduceert nieuwe kwetsbaarheidsklassen die niet aanwezig waren in het handgeschreven equivalent, met name rond dependency-injectie, hardcoded secrets en verouderde bibliotheekaanbevelingen
• Herwerken van gegenereerde code (48%) — bijna de helft van de teams besteedt significante tijd aan het repareren, refactoren of herschrijven van AI-output voordat deze live kan

Dit patroon heeft inmiddels een naam: toil shift (verschuiving van corvee). In plaats van werk te elimineren, verplaatst AI het van de creatiefase naar de verificatie-, test- en herstelfasen . Black Duck's framing is hard: "de meeste organisaties produceren AI-gegenereerde code sneller dan ze deze kunnen reviewen, beveiligen of beheersen" .

Governance: De Echte ROI-Vermenigvuldiger

Als er één bevinding uit het rapport is waar engineeringleiders naar moeten handelen, dan is het deze: governance is de ROI-vermenigvuldiger . Het verschil tussen teams die AI-gebruik beheersen en teams die dat niet doen, is niet marginaal — het is het verschil tussen efficiëntiewinst daadwerkelijk incasseren of langs de zijkanten zien weglekken.

Black Duck ontdekte dat organisaties met volledige governancekaders 90% grote efficiëntiewinst rapporteerden door AI-codeertools. Teams zonder gestructureerd toezicht? Dat cijfer daalt naar 44% .

Governance betekent in deze context geen bureaucratie. Het betekent het hebben van gedefinieerd beleid voor welke tools worden gebruikt, hoe AI-gegenereerde code wordt beoordeeld, welke beveiligingspoorten gepasseerd moeten worden, en wie verantwoordelijk is voor de output. Het is het verschil tussen "ontwikkelaars gebruiken wat ze willen" en "ontwikkelaars gebruiken goedgekeurde tools binnen een gestructureerde, controleerbare pijplijn."

Het Schaduw-AI-probleem

Wat governance compliceert, is de opkomst van Schaduw-AI — ontwikkelaars die AI-tools gebruiken in strijd met of buiten het bedrijfsbeleid om. Black Duck ontdekte dat 18% van de organisaties schaduw-AI rapporteert als een significant onbeheerst risico . Wanneer tools zoals Cursor, Windsurf of Claude Code op individueel ontwikkelaarsniveau worden gebruikt zonder inkoop- of beveiligingsreview, verliest de organisatie het zicht op haar aanvalsoppervlak .

Toeleveringsketenrisico's: Wat AI-Gegenereerde Code Erft

De implicaties voor de toeleveringsketen zijn waar governance-zwaktes concrete kwetsbaarheden worden. Black Duck's werk — inclusief het gerelateerde 2026 OSSRA-rapport — brengt drie onderling verbonden risico's specifiek voor AI-codeerassistenten aan het licht:

Licentie-witwassen. AI-assistenten die getraind zijn op open-source repositories kunnen codefragmenten genereren uit copyleft-bronnen zonder de oorspronkelijke licentie-informatie te behouden . Het 2026 OSSRA-rapport vond dat tweederde van de gecontroleerde codebases licentieconflicten bevat — het hoogste percentage in de geschiedenis van het rapport . Organisaties verzenden mogelijk code die ze niet mogen gebruiken, zonder het te weten.

Dependency-explosie. Het aantal open-sourcecomponenten per codebase steeg 30% op jaarbasis, en het gemiddelde aantal kwetsbaarheden per codebase schoot met 107% omhoog . AI-codeerassistenten versnellen deze trend omdat ze oplossingen sneller en uit bredere trainingscorpora samenstellen — wat betekent dat elke AI-gegenereerde functie afhankelijkheden kan binnenhalen die de ontwikkelaar niet expliciet heeft gekozen.

Het compliance-gat. Slechts 24% van de organisaties voert uitgebreide IP-, licentie-, beveiligings- en kwaliteitsevaluaties uit van AI-gegenereerde code . Dat betekent dat driekwart van de organisaties niet betrouwbaar de vraag kan beantwoorden: "Aan welke wettelijke en beveiligingsverplichtingen hebben we ons zojuist gecommitteerd?"

Ontwikkelaarsvertrouwen: Adoptie Stijgt terwijl Zekerheid Daalt

De bevindingen van Black Duck staan niet op zichzelf. Meerdere onafhankelijke enquêtes die rond dezelfde periode zijn gepubliceerd, versterken en verfijnen het vertrouwensbeeld met gedetailleerde gegevens:

• Sonar's 2026 State of Code Developer Survey (1.100+ ontwikkelaars) vond dat 96% van de ontwikkelaars de functionele nauwkeurigheid van AI-gegenereerde code niet volledig vertrouwt . Toch verifieert slechts 48% deze altijd voordat ze wordt gecommit — wat betekent dat code die ontwikkelaars zelf wantrouwen, regelmatig in productie wordt genomen .
• Stack Overflow's 2025 Developer Survey (49.009 respondenten) toonde aan dat het vertrouwen in AI-nauwkeurigheid daalde van 40% naar 29% in één jaar. Actief wantrouwen steeg naar 46%, terwijl positieve waardering daalde van 72% naar 60% .
• Harness's State of AI-Driven Software Releases 2026 (500 engineeringleiders) vond dat 57% nog steeds menselijke-in-de-lus review vereist voor elke regel AI-gegenereerde code, en 29% besteedt nu méér tijd aan codereview dan vóór de adoptie van AI-assistenten .

De consensus uit deze onderzoeken is opmerkelijk consistent: ontwikkelaars kunnen niet zonder AI-tools, maar kunnen ze ook niet volledig vertrouwen. De kloof tussen generatie en verificatie is het nieuwe knelpunt geworden.

Diana Kelley, CISO bij Noma Security, vatte de kernspanning samen: "Snellere code is niet hetzelfde als veiligere code" .

Hoe Governance er Concreet Uitziet

Black Duck's voorschrift is niet abstract. Het rapport wijst op een reeks concrete maatregelen die de 30% met volledige governance onderscheiden van de rest:

1. Gestructureerde AI-governancekaders — geen informele richtlijnen, maar gedocumenteerd en gehandhaafd beleid dat toolgoedkeuring, outputreview en verantwoordelijkheid dekt
2. In de pijplijn geïntegreerde reviewpoorten — wegbewegen van handmatige overdracht naar beveiligingstestwachtrijen, wat 46% van de bedrijven nog steeds gebruikt, richting geautomatiseerde kwaliteits- en beveiligingscontroles die draaien bij elke AI-geassisteerde commit
3. Continue monitoring na uitrol — Black Duck merkt op dat een "alleen-shift-left-strategie niet langer volstaat" omdat risico wordt geïntroduceerd, ontdekt en beheerd moet worden over de gehele levenscyclus van softwareontwikkeling
4. Rationalisatie van de beveiligingstoolketen — meer dan 71% van de respondenten rapporteerde tool-spreiding als een belangrijke bron van frictie, en consolidatie op minder, beter geïntegreerde tools is een voorwaarde voor veilig opschalen van AI

De Onderste Streep

Het Black Duck-rapport pleit niet tégen het gebruik van AI-codeerassistenten. Het betoogt dat ze gebruiken zonder bijbehorende governance zelfdestructief is. Wanneer 97% van de teams code genereert met ongekende snelheid, maar slechts 30% de toezichtinfrastructuur heeft om het te beheersen, schrijft de industrie collectief cheques uit die ze niet kan verzilveren.

De correlatie tussen governance en efficiëntiewinst — 90% versus 44% — maakt de businesscase ondubbelzinnig. Organisaties die eerst de vangrails bouwen, zullen de productiviteit oogsten die AI belooft. Degenen die dat niet doen, zullen herhaaldelijk ontdekken dat de tijd bespaard achter het toetsenbord, wordt uitgegeven in de reviewwachtrij.